Klucze dostępu: jak zastępują hasła i chronią przed phishingiem

Hasło musi być znane zarówno Tobie, jak i witrynie, co właśnie sprawia, że można je wykraść. Klucz dostępu zaprojektowano tak, by tego uniknąć: nie trzeba nic wpisywać ani zapamiętywać, a fałszywa witryna nie ma czego przechwycić i ponownie wykorzystać.

Wyjaśniamy, czym jest klucz dostępu, jak wygląda logowanie z jego użyciem, dlaczego chroni przed phishingiem i od czego nadal zależy jego bezpieczeństwo.

Czym jest klucz dostępu

Według FIDO Alliance, branżowej organizacji odpowiedzialnej za ten standard, klucz dostępu to poświadczenie, które pozwala zalogować się do aplikacji lub witryny w taki sam sposób, w jaki odblokowujesz urządzenie, na przykład za pomocą odcisku palca, skanowania twarzy, kodu PIN lub wzoru. Jest powiązany z Twoim kontem w konkretnej witrynie i zastępuje zarówno hasło, jak i w większości przypadków dodatkowy kod.

Od strony technicznej klucz dostępu to para kluczy kryptograficznych. Witryna przechowuje klucz publiczny, który sam w sobie jest bezużyteczny, a klucz prywatny pozostaje na Twoim urządzeniu. Dla każdej witryny tworzona jest nowa para, więc klucza dostępu nie można użyć w różnych serwisach tak jak hasła.

Jak wygląda logowanie za pomocą klucza dostępu

Gdy się logujesz, witryna wysyła do Twojego urządzenia jednorazowe wyzwanie. Urządzenie prosi o odblokowanie go za pomocą danych biometrycznych lub kodu PIN, a następnie używa klucza prywatnego do podpisania wyzwania i odsyła podpisaną odpowiedź. Witryna sprawdza podpis przy użyciu zapisanego klucza publicznego i wpuszcza Cię na konto. NCSC, krajowa agencja ds. cyberbezpieczeństwa Wielkiej Brytanii, opisuje tę samą sekwencję i podkreśla, że klucz prywatny nigdy nie jest udostępniany witrynie ani przeglądarce.

FIDO informuje, że podczas logowania nie są przesyłane żadne dane osobowe ani biometryczne. Odcisk palca lub skan twarzy służy wyłącznie lokalnie do odblokowania klucza na Twoim urządzeniu.

Dlaczego klucze dostępu chronią przed phishingiem

Kluczowa różnica polega na tym, że klucz dostępu jest powiązany z domeną prawdziwej witryny. NCSC wyjaśnia, że uwierzytelniacz FIDO udostępnia wyłącznie poświadczenia pasujące do odwiedzanej witryny, a weryfikację przeprowadza zaufana przeglądarka lub aplikacja, więc fałszywa strona nie może na nią wpłynąć. Nie ma hasła ani kodu, które podobna do oryginału witryna mogłaby przejąć.

NCSC porównuje to z tradycyjnymi metodami uwierzytelniania drugiego składnika i stwierdza, że wszystkie z nich, w tym kody z aplikacji uwierzytelniających, są podatne na ataki polegające na przekazywaniu logowania w czasie rzeczywistym przez fałszywą stronę, podczas gdy poświadczenia FIDO2 nie są. NCSC podało również, że w chwili pisania tego tekstu nie odnotowano ataków na samo uwierzytelnianie FIDO2 w rzeczywistych warunkach, choć atakujący próbują nakłonić użytkowników do przejścia na słabsze metody awaryjne. Dlatego znaczenie ma najsłabsza metoda logowania, która nadal jest włączona na koncie.

Synchronizowane i powiązane z urządzeniem klucze dostępu

Klucze dostępu występują w dwóch formach. Synchronizowany klucz dostępu jest zabezpieczony kopią zapasową w usłudze synchronizacji i pojawia się na innych urządzeniach, więc utrata jednego urządzenia nie oznacza utraty dostępu. Klucz dostępu powiązany z urządzeniem, na przykład przechowywany na fizycznym kluczu bezpieczeństwa, pozostaje na tym jednym urządzeniu i nie można go skopiować.

Każde z tych rozwiązań wiąże się z pewnym kompromisem. NCSC zaleca ochronę konta powiązanego z usługą synchronizacji przed phishingiem oraz zapewnienie bezpiecznego sposobu jego odzyskania. Zwraca też uwagę, że przegląd głównych usług synchronizacji własnych dostawców przeprowadzony w 2025 roku wykazał, iż do przechowywania kluczy dostępu wymagają one uwierzytelniania dwuskładnikowego, natomiast wymagania usług zewnętrznych były różne. W przypadku kluczy dostępu powiązanych z urządzeniem NCSC zaleca zarejestrowanie zapasowego klucza, ponieważ zgubionego klucza nie da się odzyskać.

Czego klucze dostępu nie zapewniają

Klucz dostępu chroni etap logowania, ale nie wszystko, co się z nim wiąże. Nie pomoże, jeśli ktoś ma Twoje urządzenie i zna słaby kod PIN. NCSC zauważa też, że odzyskiwanie konta jest często słabiej zabezpieczone niż samo logowanie i stanowi cel atakujących. Klucz dostępu nie jest również kluczem do portfela kryptowalutowego. Umożliwia zalogowanie się na konto, natomiast fraza seed lub klucz prywatny portfela kontroluje środki w portfelu self-custody. Klucz dostępu nie może chronić ani zastąpić żadnego z nich.

Przypomnienie WEEX: klucz dostępu to nie fraza seed

WEEX przypomina użytkownikom, że klucz dostępu umożliwia zalogowanie się na konto, natomiast fraza seed lub klucz prywatny kontroluje portfel self-custody. Nigdy nie wpisuj frazy seed na żadnej stronie, która prosi o nią w celu „weryfikacji” lub „przywrócenia” klucza dostępu, i nigdy nikomu jej nie udostępniaj, również osobom podającym się za pracowników działu pomocy. Ustaw silny kod PIN na swoich urządzeniach, aktualizuj opcje odzyskiwania konta i sprawdzaj adres witryny przed zalogowaniem. Żadne informacje tutaj nie stanowią porady finansowej.

Podsumowanie

Klucz dostępu zastępuje wspólny sekret parą kluczy, dzięki czemu witryna nigdy nie przechowuje niczego, co można ukraść i ponownie wykorzystać, a fałszywa strona nie ma czego przechwycić. To sprawia, że jest to jedna z najbezpieczniejszych metod logowania do kont osobistych. Nadal wymaga jednak bezpiecznego urządzenia, chronionego konta synchronizacji i dobrego sposobu odzyskiwania dostępu, a w żaden sposób nie zabezpiecza frazy seed portfela.

FAQ

1. Czym jest klucz dostępu?
Klucz dostępu to poświadczenie FIDO, które pozwala zalogować się do aplikacji lub witryny za pomocą tych samych danych biometrycznych, kodu PIN lub wzoru, których używasz do odblokowania urządzenia, zamiast hasła.

2. Czym klucz dostępu różni się od hasła?
Hasło to wspólny sekret, który wpisujesz i który witryna przechowuje. Klucz dostępu jest parą kluczy, z których tylko klucz publiczny znajduje się w witrynie. Tworzy się go oddzielnie dla każdego konta i odblokowuje na urządzeniu.

3. Czy klucz dostępu jest uwierzytelnianiem dwuskładnikowym?
Jeśli logowanie wymaga danych biometrycznych lub kodu PIN, łączy coś, co masz — klucz na urządzeniu — z czymś, czym jesteś, lub czymś, co wiesz. FIDO informuje, że może on zastąpić oddzielny kod, a NCSC ocenia go jako równoważny uwierzytelnianiu dwuskładnikowemu.

4. Czy można wyłudzić klucz dostępu za pomocą phishingu?
Został zaprojektowany tak, by chronić przed phishingiem, ponieważ jest powiązany z domeną prawdziwej witryny. Atakujący mogą jednak nadal próbować nakłonić użytkownika do przejścia na słabszą metodę awaryjną, dlatego znaczenie mają też pozostałe opcje logowania na koncie.

5. Co się stanie, jeśli stracę urządzenie z moim kluczem dostępu?
Synchronizowany klucz dostępu będzie dostępny na innych urządzeniach w ramach tego samego konta synchronizacji. Można go też przywrócić, odzyskując to konto na nowym urządzeniu. Klucza dostępu powiązanego z urządzeniem nie da się skopiować, dlatego potrzebny jest zapasowy klucz lub inna metoda odzyskiwania dostępu.